– Cybersecurity Technology Agreement on Vessels and Ships Using Dark Web Analysis

▲ NSHC and DSLab Company signed an MOU for business cooperation. (Image Provided = NSHC)

The NSHC (CEO Hur Young-il, NSHC), a cybersecurity company, and the DS-Lab Company (CEO Jo Yong-hyun, DS-Lab Company), a security company for Maritime industry, have signed a MOU for business cooperation.

The main goal of this business agreement is to cooperate in building a business model by partnering of two companies. It is to develop a new business of cyber threat intelligence services specialized to maritime industry based on billions of Dark Web analytics.

Jo Yong-hyun, CEO of the DS-Lab Company, said, “Just as cybersecurity is needed for autonomous cars on the ground, the need for cybersecurity for ships in the sea is growing as ships and vessels are gradually autonomized. In regards of this, we will develop specialized technologies and lead the markets to ensure security through cooperation with NSHC” he said.

Nowadays, confidential information and technologies are being leaked through the Dark Web and companies get damaged and threatened by breach incidents. As the necessity of monitoring Dark web is increasing, DS-Lab Company fosters a new cyber terrorism response system in convergence with cybersecurity technology and digital forensics technology of DS-Lab Company and Dark Web intelligence technology of NSHC.

– 다크웹 분석을 활용한 해양 및 선박에 대한 사이버 보안 기술 협약

정보 보안 전문 기업 엔에스에이치씨(대표 허영일, NSHC) 와 해양 및 선박 사이버보안 강소기업인 디에스랩컴퍼니(대표 조용현, DSLAB COMPANY)가 사업협력을 위해 MOU 를 체결했다고 15 일 밝혔다.

▲ NSHC 와 디에스랩컴퍼니가 사업 협력 MOU 를 체결했다.(이미지제공=NSHC)

정보 보안 전문 기업 엔에스에이치씨(대표 허영일, NSHC) 와 해양 및 선박 사이버보안 강소기업인 디에스랩컴퍼니(대표 조용현, DSLAB COMPANY)가 사업협력을 위해 MOU 를 체결했다고 15 일 밝혔다.

이번 업무협약은 양사가 보유한 핵심 기술을 제휴해 공동의 비즈니스 모델을 개발, 구축하는데 협력하는 것이 골자다. NSHC 가 그 동한 축적해온 수백억개의 다크웹 데이터를 통해 해양, 선박에 대한 사이버 위협등을 특화하여 분석하여 양사에 필요한 새로운 비즈니스 모델을 개발한다.

디에스랩컴퍼니 조용현 대표이사는 “지상에서 운행되는 스마트 카, 자율주행자동차에 사이버보안이 필요하듯이 바다를 운항하는 선박도 점차 디지털화 되면서 사이버보안의 필요성이 커지고 있다. 이에 정보보안 전문기업인 NSHC 와의 협력을 통해 특화된 기술력을 확보하고 시장선도에 박차를 가할 것” 이라고 밝혔다.

최근 다크웹을 통해 산업보안이 요구되는 핵심기술과 기업 기밀정보가 유통되고 있고, 피해 기업을 협박하는 통로로 사용되고 있어 전세계적으로 다크웹 데이터에 대한 관심이 증가하고 있다. NSHC 의 보안기술과 다크웹 데이터가 디에스랩컴퍼니의 해양 및 선박 사이버보안 기술, 디지털포렌식 기술과 융합하여 새로운 사이버 테러 대응 체계가 될 것으로 기대한다.

 

“CTI와 기존 보안장비의 연결 통해 더 큰 시너지를 낼 수 있을 것”

▲ 장영준 NSHC 수석연구원이 'OPERATION KITTY PHSIHING'을 주제로 SFIS 2019에서 강연을 진행하고 있다.
▲ 장영준 NSHC 수석연구원이 ‘OPERATION KITTY PHSIHING’을 주제로 SFIS 2019에서 강연을 진행하고 있다.

데일리시큐와 머니투데이가 공동 주최한 제6회 스마트 금융&정보보호페어 SFIS 209가 2월 20일 소공동 롯데호텔 2층 크리스탈볼룸에서 200여 명의 금융기관 정보보호 실무자들이 참석한 가운데 성황리에 개최됐다.

이 자리에서 장영준 NSHC 수석연구원은 ‘OPERATION KITTY PHSIHING’을 주제로 강연을 진행했다.

NSHC의 RedAlert 연구소 ThreatRecon팀은 Cyber Threat Intelligence 서비스를 담당하고 있으며 현재 인텔리전스 및 악성코드 분석 업무로 한국과 싱가포르에서 팀을 운영 중이다.

장영준 수석은 “동아시아, 동남 아시아 및 중동 지역을 대상으로 한 APT 그룹들의 해킹 활동을 추적했다. ThreatRecon팀은 현재 11개 섹터(Sector)의 57개 해킹그룹 관련 인텔리전스를 보유 중이다. 현재 총 792건의 인텔리전스 이벤트와 총 3만1천397개의 그룹 특성 데이터 보유 중”이라고 설명하고 “SectorA의 해킹 그룹은 전 세계를 대상으로 해킹 활동을 수행 중이다. SectorA의 해킹 그룹 중 SectorA01 그룹은 전 세계를 대상으로 금융 범죄 목적의 해킹을 수행하고 있다. SectorA02와 SectorA05 그룹은 동아시아 지역 중심의 정보 수집 목적 해킹을 하고 있다”고 설명했다.

▲ SFIS 2019 장영준 NSHC 수석 발표현장.
▲ SFIS 2019 장영준 NSHC 수석 발표현장.

이어 ‘SectorA’ 관련 해킹 그룹의 해킹 기법에 대해 설명을 이어갔다. 이 그룹은 해킹 대상에게 악성코드가 첨부된 스피어 피싱(Spear Phishing) 이메일 전송을 주로 한다. 현재는 이메일 계정과 암호 정보 탈취 목적의 피싱(Phishing)을 공격을 한다. 한글 파일 형태의 악성코드에서 MS 오피스(Office) 파일 형태의 악성코드 활용으로 변화하고 있다.

SectorA05 그룹의 해킹활동은 2018년부터 다시 활발하게 동아시아 지역 대상으로 정보 수집 목적의 해킹 활동을 수행 중이다. 2018년 한 해 동안 총 31건의 인텔리전스 이벤트 생성중, 총 19건이 동아시아 지역 관련 활동으로 조사됐다.

장 수석은 “Operation Kitty Phishing은 2019년 1월 발견된 SectroA05 그룹의 해킹 활동 중 하나다. 동아시아 지역 국가 정부 활동과 관련된 고급 정보 수집 목적의 해킹활동이다. 해킹 기법은 악성코드가 첨부된 스피어 피싱을 활용했다”고 밝혔다.

스피어 피싱 이메일의 첨부 파일은 암호가 설정된 압축 파일(ZIP)이 존재하며 압축 파일 내부에는 2개의 정상 파일과 1개의 한글 파일로 위장한 실행 파일(RARSfx)이 존재한다. 실행 파일 내부에는 1개의 정상 한글 파일과 2개의 스크립트(Script) 파일이 존재한다. 공통적으로 1차 C2 서버로 구글 드라이브(Google Drive)를 활용했다.

실행 파일을 해킹 대상이 실행하게 되면 정상 한글 파일 열람과 동시 스크립트 파일을 실행한다. 1개의 스크립트 파일은 C2 서버에서 DLL 파일 형태의 백도어를 다운로드 및 실행한다. 다른 1개의 스크립트 파일은 백도어 기능을 수행하도록 제작됐다.

한편 SectorA05 그룹은 해킹 대상이 가상 화폐를 가지고 있는지 확인하고 추가적으로 화면 캡쳐, 키로깅 및 크롬 브라우저 정보 탈취를 한다. 가상화폐 관련 정보들을 수집해 C2 서버로 전송한다.

또 ‘Operation Kitty Phishing’이라고 명하는 이유에 대해서는 스크립트를 이용해 해킹 대상을 Kitty(적립금)로 부르며 개인별 관리를 하고, 해킹 대상에 대한 개인별 맞춤형으로 제작한 악성코드를 추가 다운로드 및 실행한 이유 때문이라고 전했다.

▲ 장영준 수석 발표자료. NSHC 제공.
▲ 장영준 수석 발표자료. NSHC 제공.

장 수석은 이어 사이버 위협 인텔리전스 활용에 대해서도 언급했다. 단계별로 △전술적 인텔리전스(Tactical Threat Intelligence) △운영적 인텔리전스(Operational Threat Intelligence) △전략적 인텔리전스(Strategic Threat Intelligence)에 대해 설명했다.

전술적 인텔리전스 단계는 위협 정보와 데이터 수집으로 지표(Indicators)를 생성하고 해킹 그룹이 활용하는 지표는 실제 공격을 탐지 및 차단이 가능하다.

다음 운영적 인텔리전스 단계는 내부 IT 환경의 공격 접점(Attack Surface) 분석으로 공격 발생 과정을 분석(Kill Chain, Diamond Model, Cyber Campaign Modelling)하고 조직 내부 IT 환경에 대한 인텔리전스 및 조직 외부 위협 인텔리전스 확보로 신규 공격 접점 확인이 가능하다. 중간 관리자 대상단계다.

최종 전략적 인텔리전스 단계는 전략적인 큰 그림으로 위협의 동향과 범위 등을 다루며, C레벨(CEO, CISO, CSO) 대상이다. TTP(Tactic, Technic, Procedure)에 대한 이해로 조직의 보안 전략, 정책, 보안 및 IT 환경 구성에 변화가 가능한 단계다.

장영준 수석은 “해외 기업 보안담당자들과 미팅을 해 보면 내부에 인텔리전스팀을 구축하고 이를 통한 보안체계를 만들어가는 기업들을 자주 볼 수 있었다. 한국도 사이버 위협 인텔리전스(CTI)를 활용한 방어 체계 구축에 보다 적극적인 투자가 필요하다. 또 CTI와 기존 보안장비의 연결을 통해 더 큰 시너지를 낼 수 있을 것”이라고 강조했다.

장영준 수석의 SFIS 2019 발표자료는 데일리시큐 자료실에서 다운로드 가능하다.

원문기사 : https://www.dailysecu.com/?mod=news&act=articleView&idxno=45852&page=&total=

ThreatRecon팀 “그들의 활동이 생각보다 오래되었다는 점 확인하고 놀라움 느껴”

▲ NSHC 보고서 이미지
▲ NSHC 보고서 이미지

NSHC(허영일 대표) RedAlert, ThreatRecon팀이 지난 1월 초, 한국 통일부 취재기자 77명을 대상으로 유포된 악성코드에 대해 분석 리포트를 30일 공개했다.

ThreatRecon팀은 보고서를 통해 “이번 공격은 특정 정부가 지원하는 해킹그룹 SectorA05 조직의 하위 그룹으로 추정된다. 해당 악성코드를 기점으로 과거 활동을 추적한 결과 이들은 일본 IP를 사용하는 한국 도메인의 특정 C2서버를 최소 27개월 이상 지속적으로 사용하며 활동한 것”이라며 “또 이메일을 통해 악성코드를 유포하는 공격뿐만 아니라 이메일 계정 정보를 탈취하기 위한 피싱 공격도 함께 하고 있다. 주로 중앙정부, 통일, 외교 영역과 국방 영역 등 한국 정부 인사 등을 해킹 대상으로 삼았다. 최근에는 가상화폐 거래소 및 사용자들을 대상으로 확대해 금전적 이득도 주요 목적으로 하고 있다”고 설명했다.

이어 팀은 이들 공격 활동을 ‘Operation Kitty Phishing’이라고 명명했다. 이들의 공격은 현재까지도 매일 이루어지고 있으며 지금까지 발견된 공격은 빙산의 일각이라고 강조했다.

보고서에는 이번 공격자들의 이메일 계정 탈취 공격, 악성코드 배포 공격 등에 대한 상세한 분석 내용이 포함돼 있다.

◇SectorA05의 공격 방법 분석

보고서에 따르면, 공격조직 SectorA05의 최초 공격 유입 방식은 2가지 방식이다. 먼저 타깃의 이메일 계정의 패스워드를 탈취하기 위한 피싱 공격과 타깃 PC의 정보들을 탈취하기 위한 악성코드를 이메일을 통해 배포하는 공격이다.

공격자들은 타깃을 사용하고 있는 이메일 서비스와 동일한 피싱 사이트를 만들고 타깃에게 발송한다. 그들은 주로 비밀번호 재설정 요청 등 보안과 관련해 문제가 발생한 것으로 오인하도록 해 타깃이 패스워드를 입력하도록 유도한다.

악성코드는 이메일의 첨부파일을 통해 전달하는 방식을 사용한다. 이들은 이메일의 첨부파일로 다양한 방법들을 사용한다. 스크립트 파일을 전달하는 방법, 한글(HWP) 문서의 취약점을 이용한 방법, ‘EXE’ 실행 파일을 문서처럼 보이게 하는 속임수 방법 등을 사용한다. 이러한 파일들은 주로 압축 파일 형태로 전달된다.

◇공격조직의 코인탈취

R-2-1.jpg

한편 ThreatRecon팀은 SectorA05의 암호화폐 관련 코인 탈취 행위를 수행하고 있는 다는 것도 확인했다.

SectorA05 해킹그룹은 전통적으로 한국 및 주변 국각에서 각종 기밀 정보들을 탈취하는 행위를 주요 목적으로 하고 있는 조직이다. 그러나 최근 암호화폐 관련 코인을 탈취하기 위한 해킹 시도에도 많은 시간을 할애하고 있다는 것을 확인했다.

한편 해당 그룹이 정부 배후의 스파이 활동을 하는 역할에서 암호화폐 탈취를 통한 외화벌이까지 목적이 확대된 것인지 아니면 그들 중 일부가 자신들의 사익을 위해 일탈 행위로 코인을 노리고 있는지 명확하지 않다.

그러나 명확한 사실은 그들이 일부 형태의 해킹 대상으로부터 활발하게 암호화폐 관련 코인을 탈취하기 위한 활동을 지속적으로 하고 있다는 점이다. 암호화폐 거래소 임직원 및 개인 암호화폐 사용자들과 코인 관련 개발자 등이 그들의 주요 해킹 목표다. ThreatRecon팀은 실제로 공격자들의 암호화폐 지갑과 개인키가 위치한 디렉토리까지 확인했다.

◇왜 ‘Operation Kitty Phishing’인가

R-3-1.jpg

ThreatRecon팀은 SectorA05 해킹조직을 지속적으로 추적하는 과정 중에 그들이 피해자들을 관리하기 위해 사용하는 관리 스크립트를 발견했다. 그들은 피해자들을 키티(Kitty, 적립금이라는 의미의 영어)라 칭하면서 관리하고 있었다. 이것에서 착안해 그들의 작전을 ThreatRecon팀은 ‘Operation Kitty Phishing’이라고 명명한다고 밝혔다.

◇ SectorA05 해킹조직, 쉬지 않고 해킹 공격 시도

한편 ThreatRecon팀은 그들을 추적하면서 그들의 열정적인 해킹 활동에 놀랐다고 밝혔다.

팀은 “그들은 쉬지 않고 공격 대상들에게 피싱 메일을 유포했으며 악성코드 또한 지속 유포했다. 올해 초 통일부 기자들을 대상으로 악성코드를 유포한 이후에도 그들은 잠재적 암호화폐 사용자들을 대상으로 악성코드를 유포했다. 그리고 감염된 피해자들의 PC를 검색해 코인과 관련된 파일들이 있을 경우 추가적 악성코드를 개인별 맞춤으로 제작해 배포했다. 또 개별 사용자들 맞춤으로 코인 탈취를 위한 악성코드를 제작하고 실시간으로 배포했다”고 설명했다.

보고서 말미에 ThreatRecon팀은 “SectorA05의 지속적인 공격활동을 추적하며 그들의 활동이 생각보다 오래되었다는 점을 확인하고 놀라움을 느꼈다. 기존에 이메일 계정 탈취를 수행하는 피싱 조직과 악성코드를 유포하는 조직이 동일한 조직인지에 대해 판단하는 것이 매우 어려웠지만 이번 추적을 통해 그들이 동일한 조직이며 모두 동시에 수행하고 있음을 확인했다”고 밝혔다.

또 “특정 C2 서버를 무려 27개월 이상 사용하고 있음에도 그동안 이들의 활동을 제대로 막지 못한 점에 대해 매우 아쉽게 생각한다. 하지만 이제 그들의 활동이 우리를 통해 많이 드러난 만큼 앞으로 그들의 활동은 계속 감시할 것이다. 지금도 그들은 활동하고 있다. 우리는 여전히 그들을 계속 추적할 것”이라고 강조했다.

원문기사 : https://www.dailysecu.com/?mod=news&act=articleView&idxno=45053&page=&total=

“10월 말에서 11월 말까지 새로운 변종 악성코드 지속적으로 제작해 공격”

NSHC-1-1.jpg

NSHC(허영일 대표)에서 2018년 10월 21일부터 11월 20일까지 한 달간 수집한 데이터와 정보를 바탕으로 국가 지원 해킹 그룹들의 활동을 요약 정리한 보고서를 12일 발표했다.

보고서는 지난 한 달 간 발견된 특정 정부 지원 해킹 그룹들의 활동과 관련 이슈를 정리했으며 이와 관련 특정 기업의 침해사고 정보와 알려지지 않은 침해지표도 포함하고 있다. 다음은 보고서를 발췌한 내용이다.

◇북한 정부 지원 해킹그룹의 활동

북한 정부의 지원을 받고 있는 섹터A그룹들 중 11월에는 총 4개 해킹그룹이 활동한 것이 발견됐다. 특히 섹터A05 그룹은 새로운 악성코드 변형들을 10월 말에서 11월 말까지 지속적으로 제작할 정도로 단기간에 왕성한 활동을 보여주었다.

이 외에 발견된 다른 해킹 그룹의 활동은 현실세계에서 재화로 변환이 가능한 금융정보 탈취를 목적으로 한국과 아르헨티나를 포함한 남미 지역의 금융권을 대상으로 했다.

이 중 한국의 경우에는 암호화폐 거래소와 함께 암호화폐를 보유하고 직접 거래를 진행하는 개인 거래자도 해킹의 대상으로 포함한 것으로 판단된다.

해킹 활동에서 사용하는 기법은 악성코드가 첨부된 스피어 피싱(Spear Phishing) 이메일을 공격 대상에게 전달하는 기법을 활용하고 있어 해킹 기법면에서는 큰 변화가 없다.

이번 11 월에도 총 3 종류의 새로운 한글(HWP) 파일 형태의 악성코드가 발견되었으나, 과거에 활용되었던 악성코드에서 일부 코드만 수정해 다시 활용한 형태로 판단된다.

그러나 섹터A05 그룹에서는 상용 원격 제어 소프트웨어인 팀뷰어(TeamViewer)의 소스코드를 기반으로 제작한 새로운 악성코드가 발견되었으며, 그 동작 방식 역시 팀뷰어 소프트웨어와 동일한 형태로 동작하는 것이 확인 되었다.

이러한 사항을 고려 할 때 방어 전략 차원에서 조직 내부에서 상용 원격 제어 소프트웨어의 활용과 사용 이력을 다시 검토할 필요가 있을 것으로 판단된다고 밝혔다.

이외에도 보고서는 중국 정부 지원 해킹그룹, 러시아 정부 지원 해킹그룹, 인도 정부 지원 해킹그룹, 베트남 정부, 터키 정부 지원 해킹그룹 등에 대해서도 분석 내용을 전달하고 있다.

더불어 라자루스로 알려진 북한 정부 지원 해킹그룹의 최근 국내 활동 현황에 대해서도 리포트하고 있다.

보고서요약본은 데일리시큐 자료실에서 다운로드 가능하며 실제보고서는 NSHC Threat Recon 서비스를 신청하면 받을 수 있다.